2019（第二屆）中國金融科技產(chǎn)業(yè)峰會(huì)于10月31日——11月1日在北京國際會(huì)議中心隆重召開。在11月1日下午召開的“金融業(yè)網(wǎng)絡(luò)信息安全”分論壇上，鄭州商品交易所網(wǎng)絡(luò)安全高級(jí)經(jīng)理王孝偉做了《網(wǎng)絡(luò)安全等級(jí)保護(hù)工作實(shí)踐與展望》分享。
非常榮幸在這里分享我們?cè)诰W(wǎng)絡(luò)安全等級(jí)保護(hù)中的實(shí)踐與展望！
易盛信息技術(shù)有限公司是我們鄭商所的全資子公司，面向期貨市場(chǎng)提供信息基礎(chǔ)服務(wù)，主要業(yè)務(wù)包括國內(nèi)外行情及報(bào)盤軟件和行業(yè)托管。匯報(bào)內(nèi)容主要有四部分：
一、網(wǎng)絡(luò)安全等級(jí)保護(hù)制度介紹
回顧網(wǎng)絡(luò)安全等級(jí)保護(hù)制度的發(fā)展歷程。剛才畢馬寧主任是等保方面的權(quán)威，我們也多次邀請(qǐng)畢主任去鄭商所做講課，受益匪淺，在這對(duì)他表示感謝。
1994年，國務(wù)院頒布中華人民共和國計(jì)算機(jī)信息系統(tǒng)安全等級(jí)保護(hù)條例，提出計(jì)算機(jī)信息系統(tǒng)需要實(shí)行等級(jí)保護(hù)。
1999年，計(jì)算機(jī)信息系統(tǒng)安全等級(jí)保護(hù)劃分準(zhǔn)則正式發(fā)布。
2003年，中央辦公廳、國務(wù)院辦公廳頒布《關(guān)于加強(qiáng)信息安全保障工作的意見》，明確做等級(jí)保護(hù)，重點(diǎn)是基礎(chǔ)信息網(wǎng)絡(luò)和關(guān)系國家安全、社會(huì)穩(wěn)定等方面的重要信息系統(tǒng)。
2004年，四部委先后發(fā)布《信息安全等級(jí)保護(hù)管理辦法》。
2008年，發(fā)布了信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南基本要求、測(cè)評(píng)要求以及設(shè)計(jì)技術(shù)要求。
2016年，國家正式發(fā)布了《網(wǎng)絡(luò)安全法》，將明確國家實(shí)行網(wǎng)絡(luò)安全等級(jí)保護(hù)制度，將等保上升到法律制度。
自2008年等保1.0發(fā)布之后，證券期貨業(yè)陸續(xù)在落實(shí)這方面的工作。2009年由證監(jiān)會(huì)牽頭，行業(yè)相關(guān)專家對(duì)等保基本要求根據(jù)行業(yè)信息系統(tǒng)的特點(diǎn)做了細(xì)化，也是對(duì)等保工作更好的落實(shí)。在此基礎(chǔ)上，于2011年發(fā)布行業(yè)標(biāo)準(zhǔn)《證券期貨業(yè)信息系統(tǒng)安全等級(jí)保護(hù)基本要求》。我們近幾年等保工作主要依據(jù)來源于行業(yè)標(biāo)準(zhǔn)，這個(gè)標(biāo)準(zhǔn)是在不降低國家基本要求標(biāo)準(zhǔn)的基礎(chǔ)上對(duì)行業(yè)標(biāo)準(zhǔn)的一個(gè)細(xì)化。
這是基于證券期貨業(yè)信息系統(tǒng)的“三高”特點(diǎn)：
第一， 信息化程度高。現(xiàn)在信息化越來越普及了，是最早在國內(nèi)使用電子化交易的系統(tǒng)。
第二， 業(yè)務(wù)持續(xù)性要求高，不管做期貨交易還是證券交易，不能說分秒必爭，現(xiàn)在精確到微秒。
第三， 對(duì)信息系統(tǒng)的能量和處理能力要求高。如果大家聽華銳講分布式系統(tǒng)，也能感覺到現(xiàn)在的競(jìng)爭都已經(jīng)到納秒了。
正是基于這樣的特點(diǎn)，有行業(yè)標(biāo)準(zhǔn)的產(chǎn)生。
我們這幾年的工作是依據(jù)行業(yè)標(biāo)準(zhǔn)、國家標(biāo)準(zhǔn)進(jìn)行等保的定級(jí)、備案、測(cè)評(píng)、整改的循環(huán)往復(fù)的過程。
二、鄭商所等保工作開展情況
因?yàn)樽C監(jiān)會(huì)一向非常重視網(wǎng)絡(luò)安全工作，2007年證監(jiān)會(huì)組織專家對(duì)行業(yè)重要信息系統(tǒng)進(jìn)行定級(jí)評(píng)審。鄭商所有兩個(gè)系統(tǒng)，一個(gè)是交易業(yè)務(wù)系統(tǒng)，就是實(shí)時(shí)交易撮合系統(tǒng)，這是定級(jí)為等保三級(jí)；第二個(gè)是互聯(lián)網(wǎng)服務(wù)同時(shí)，這主要是面向互聯(lián)網(wǎng)的，包括網(wǎng)站對(duì)會(huì)員提供服務(wù)以及咨詢的系統(tǒng)，這是等保二級(jí)。
2009年，我們根據(jù)會(huì)里的定級(jí)審核意見完成了定級(jí)備案，并在當(dāng)?shù)毓矙C(jī)構(gòu)進(jìn)行了備案。后續(xù)我們按照相關(guān)要求開展測(cè)評(píng)，從2010年開始測(cè)評(píng)，按照等保的要求，對(duì)于三級(jí)系統(tǒng)每年有第三方測(cè)評(píng)機(jī)構(gòu)進(jìn)行現(xiàn)場(chǎng)測(cè)評(píng)。二級(jí)系統(tǒng)是以內(nèi)部測(cè)評(píng)為主、外部機(jī)構(gòu)測(cè)評(píng)為輔。每年測(cè)評(píng)的結(jié)論都是基本符合達(dá)到相應(yīng)的安全等級(jí)保護(hù)的要求。當(dāng)然，每年也在不斷進(jìn)步，符合項(xiàng)會(huì)越來越多，不符合項(xiàng)會(huì)越來越少。
三、鄭商所等保工作實(shí)踐經(jīng)驗(yàn)
這是我們目前信息系統(tǒng)的總體情況，也正在向虛擬化、云計(jì)算方向去發(fā)展。
基礎(chǔ)部分包括：機(jī)房環(huán)境、主機(jī)、數(shù)據(jù)庫、網(wǎng)絡(luò)通信以及網(wǎng)絡(luò)安全設(shè)施。
九大運(yùn)營系統(tǒng)包括：交易撮合、結(jié)算交割、市場(chǎng)監(jiān)察、會(huì)員服務(wù)、統(tǒng)一開戶、銀企通、數(shù)據(jù)保送、倉戶管理、門戶網(wǎng)站等。
另外是綜合運(yùn)用、監(jiān)控系統(tǒng)以及運(yùn)維管理系統(tǒng)，對(duì)基礎(chǔ)環(huán)境、應(yīng)用系統(tǒng)進(jìn)行綜合監(jiān)控和管理。
這是信息系統(tǒng)區(qū)域架構(gòu)，是根據(jù)信息系統(tǒng)重要程度以及系統(tǒng)間耦合關(guān)系，對(duì)運(yùn)營系統(tǒng)做區(qū)域劃分。區(qū)域間是綜合運(yùn)用，包括防火墻、網(wǎng)閘這些手段安全設(shè)備進(jìn)行區(qū)域的訪問控制，網(wǎng)閘主要是在互聯(lián)網(wǎng)和內(nèi)部交易的一個(gè)區(qū)域的安全隔離。之前向互聯(lián)網(wǎng)上提供服務(wù)應(yīng)用比較簡單、單一、少，現(xiàn)在隨著相關(guān)技術(shù)的發(fā)展，互聯(lián)網(wǎng)上提供的服務(wù)越來越多，所以我們?cè)?a href="http://m.qzkangyuan.com/cnidc/cio/">互聯(lián)網(wǎng)方面面對(duì)的安全威脅也是越來越多，也是我們共同面對(duì)的一個(gè)需要下一步去處理的事情。
